Wprowadzenie do problemu / definicja
Nowe badania nad bezpieczeństwem modemów komórkowych pokazują, że karta SIM nie zawsze pełni wyłącznie pasywną rolę nośnika tożsamości abonenta. W określonych warunkach może ona inicjować działania po stronie modemu i uruchamiać komendy AT, co w podatnych implementacjach otwiera drogę do przejęcia kontroli nad urządzeniem końcowym.
Problem dotyczy przede wszystkim urządzeń klasy cellular IoT, takich jak routery przemysłowe, ładowarki do pojazdów elektrycznych, terminale telemetryczne czy systemy montowane w pojazdach. To właśnie tam modem komórkowy stanowi kluczowy element komunikacji, a jego kompromitacja może prowadzić do skutków wykraczających poza samą warstwę łączności.
W skrócie
- Badacze przeanalizowali 26 urządzeń pod kątem obsługi mechanizmu RUN AT.
- W 9 przypadkach funkcja była aktywna i pozwalała karcie SIM inicjować komendy AT.
- Najbardziej narażone okazały się wybrane moduły M2M i IoT oparte na platformach Qualcomm.
- W jednym ze scenariuszy wykazano możliwość wykonania kodu w komercyjnej ładowarce EV.
- Zagrożenie wymaga złośliwej lub podmienionej karty SIM, ale pozostaje istotne dla środowisk przemysłowych i terenowych.
Kontekst / historia
Mechanizmy proactive SIM oraz SIM Toolkit od lat są analizowane jako potencjalna powierzchnia ataku. Karta SIM może bowiem nie tylko odpowiadać na żądania urządzenia, ale także inicjować określone działania zgodne ze specyfikacją. W praktyce oznacza to dodatkowy kanał wpływu na zachowanie terminala lub modemu.
Najnowsza praca badawcza, zaprezentowana podczas konferencji USENIX WOOT 2026 pod nazwą CATana: On the Dangers of SIM-Originating AT Commands, koncentruje się na komendzie RUN AT. Mechanizm ten pozwala karcie SIM polecić modemowi wykonanie komendy AT. Sama funkcja jest zgodna z założeniami standardu, jednak w połączeniu z nadmiernie rozbudowanymi interfejsami AT i błędami implementacyjnymi może prowadzić do znacznie poważniejszych skutków niż zakładali producenci.
Analiza techniczna
Sedno problemu polega na zaufaniu, jakim firmware modemu obdarza kartę SIM. Jeśli urządzenie akceptuje polecenie RUN AT, karta może przekazać modemowi komendy należące do obsługiwanego zestawu AT. W nowoczesnych platformach embedded takie komendy nie kończą działania wyłącznie na warstwie radiowej, lecz często trafiają dalej do demonów systemowych, narzędzi administracyjnych lub komponentów systemu operacyjnego.
W badaniu wskazano, że część modułów akceptowała taki model sterowania. W jednym z opisanych przypadków atakujący wykorzystał podatność w komponencie pośredniczącym do przekazania kontrolowanych danych do powłoki systemowej. To stworzyło warunki do command injection i w efekcie do wykonania własnego kodu na urządzeniu.
Z perspektywy bezpieczeństwa architektury IoT szczególnie niebezpieczne jest to, że interfejs SIM staje się pośrednim interfejsem administracyjnym. Jeśli modem lub współpracujące z nim procesy przekazują nieznane komendy do dalszych warstw systemu, każda słabość w parsowaniu, filtrowaniu znaków, obsłudze ścieżek plików czy integracji z usługami systemowymi może zostać osiągnięta kanałem, który zwykle nie jest uwzględniany jako klasyczny punkt wejścia.
Badacze opisali także scenariusze inne niż pełne zdalne wykonanie kodu. W części przypadków możliwe było wymuszenie pracy w starszej technologii sieciowej, co może obniżyć poziom bezpieczeństwa komunikacji. W innych konfiguracjach pokazano możliwość odczytu danych z urządzenia i ich eksfiltracji poprzez łańcuch kilku słabości obecnych w module.
Warto podkreślić, że atak nie polega na samym poznaniu numeru telefonu ofiary. Wymaga on złośliwej karty SIM w urządzeniu albo kompromitacji procesu dostarczenia, personalizacji, podmiany lub zdalnego zarządzania profilem SIM. Ogranicza to skalę masowych kampanii, ale znacząco podnosi wagę ryzyka w środowiskach rozproszonych, przemysłowych i słabiej monitorowanych.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją jest możliwość przejęcia urządzeń IoT korzystających z sieci komórkowej jako podstawowego kanału komunikacji. Dotyczy to zarówno pojedynczych endpointów, jak i elementów infrastruktury operacyjnej, których awaria lub kompromitacja może mieć wpływ na ciągłość działania usług.
Ryzyko należy rozpatrywać wielowarstwowo. Po pierwsze, istnieje możliwość wykonania kodu i trwałej kompromitacji urządzenia. Po drugie, możliwe jest osłabienie bezpieczeństwa komunikacji, na przykład przez wymuszenie mniej bezpiecznej technologii radiowej. Po trzecie, zagrożone są dane lokalne, takie jak konfiguracje, pliki systemowe czy zapisane sekrety. Po czwarte, przejęty modem może zostać wykorzystany jako przyczółek do dalszego ruchu lateralnego w sieciach OT lub środowiskach zarządzania flotą.
Istotnym problemem jest również to, że interfejs SIM bywa pomijany podczas modelowania zagrożeń. Wiele organizacji koncentruje się na podatnościach sieciowych, bezpieczeństwie chmury i aktualizacjach aplikacji, a znacznie rzadziej analizuje relacje pomiędzy kartą SIM, basebandem i firmware modemu. W urządzeniach instalowanych w miejscach publicznych lub oddalonych lokalizacjach nawet lokalny wektor ataku może być jednak realnym scenariuszem.
Rekomendacje
Organizacje wykorzystujące urządzenia cellular IoT powinny w pierwszej kolejności ustalić, jakie moduły komórkowe działają w środowisku produkcyjnym, jakie wersje firmware są używane oraz czy obsługiwany jest mechanizm RUN AT. Niezbędne jest również pozyskanie od dostawców jasnej informacji, czy funkcja jest aktywna domyślnie, czy można ją wyłączyć oraz które wersje oprogramowania zawierają poprawki.
- Przeprowadzić pełną inwentaryzację urządzeń korzystających z modemów komórkowych w środowisku IoT.
- Zweryfikować dostępność aktualizacji firmware od producenta modułu i producenta urządzenia końcowego.
- Wyłączyć lub ograniczyć komendy AT osiągalne z poziomu karty SIM, jeśli platforma na to pozwala.
- Zabezpieczyć fizycznie sloty SIM poprzez plombowanie, obudowy antymanipulacyjne i kontrolę dostępu.
- Ocenić bezpieczeństwo łańcucha dostaw kart SIM, eSIM oraz procesów personalizacji i zdalnego zarządzania profilami.
- Segmentować sieć urządzeń IoT, aby kompromitacja modemu nie oznaczała automatycznego dostępu do systemów krytycznych.
- Monitorować anomalie, takie jak nieoczekiwane przełączenia do 2G, restarty modemu czy nietypowe działania diagnostyczne.
- Uwzględnić interakcje SIM–modem w testach bezpieczeństwa i przeglądach architektury.
Z perspektywy producentów kluczowe jest domyślne wyłączanie ryzykownych funkcji, utwardzanie parserów komend, ograniczanie ekspozycji demonów pośredniczących oraz rozdzielenie poleceń administracyjnych od ścieżek osiągalnych przez kartę SIM. W produktach wysokiego ryzyka warto rozważyć całkowite odrzucanie proactive commands, które nie są niezbędne do działania urządzenia.
Podsumowanie
Opisane badania pokazują, że bezpieczeństwo urządzeń komórkowych i IoT zależy nie tylko od aplikacji, chmury i warstwy IP, ale również od mniej oczywistych relacji zaufania wewnątrz samego urządzenia. Mechanizm RUN AT może przekształcić kartę SIM w skuteczny kanał sterowania modemem, a przy podatnych implementacjach doprowadzić nawet do wykonania kodu.
Dla operatorów flot IoT oznacza to konieczność przeglądu architektury modemów, polityk aktualizacji firmware i zabezpieczeń fizycznych. Dla producentów jest to wyraźny sygnał, że także funkcje zgodne ze specyfikacją mogą stać się poważną powierzchnią ataku, jeśli pozostaną aktywne bez odpowiednich ograniczeń.
Źródła
- A Malicious SIM Card Can Run Attacker Code Inside the Modems Behind Cellular IoT Devices — https://thehackernews.com/2026/08/a-malicious-sim-card-can-run-attacker.html
- WOOT ’26 Technical Sessions — https://www.usenix.org/conference/woot26/technical-sessions
- WOOT ’26 | USENIX — https://www.usenix.org/conference/woot26
- Exploring hostile SIM cards — ETSI — https://www.etsi.org/posters-demo-presenters/exploring-hostile-sim-cards/
- Who tests the chip in your phone? — University of Birmingham — https://www.birmingham.ac.uk/news/2026/who-tests-the-chip-in-your-phone